Kort samengevat: een advocatenkantoor is verwerkingsverantwoordelijke voor grote hoeveelheden gevoelige persoonsgegevens. De AVG vraagt om een verwerkingsregister, verwerkersovereenkomsten met leveranciers, heldere grondslagen en bewaartermijnen, en passende beveiliging. Gaat het toch mis, dan geldt een meldtermijn van 72 uur richting de Autoriteit Persoonsgegevens en soms een informatieplicht richting betrokkenen. Dit artikel geeft de kernverplichtingen en een concreet preventie- en responsplan.
Dit artikel gaat over de AVG. De aparte — en voor advocaten minstens zo belangrijke — vraag waar dossierdata fysiek en juridisch mag staan, behandelen we in verschoningsrecht en dataopslag. Beide sporen overlappen, maar stellen verschillende eisen; behandel ze naast elkaar en niet als hetzelfde.
Waarom de lat voor advocatenkantoren hoger ligt
Een gemiddeld dossier op een advocatenkantoor bevat precies de categorieën gegevens waar de AVG het strengst op is: gezondheidsgegevens in letselzaken, gegevens over strafrechtelijke aangelegenheden, financiële en relationele gegevens in familiezaken, personeelsgegevens in arbeidszaken. Daar komt bij dat de betrokkenen vaak niet alleen uw cliënt zijn, maar ook wederpartijen, getuigen en derden die nooit met u een relatie zijn aangegaan.
Het gevolg: de kans dat een incident als "hoog risico voor betrokkenen" kwalificeert, is op een advocatenkantoor groter dan in veel andere sectoren. Dat maakt zowel preventie als een geoefende responsroutine belangrijker.
De kernverplichtingen
Verwerkingsregister
Leg vast welke categorieën persoonsgegevens u verwerkt, voor welk doel, op welke grondslag, met wie u ze deelt, hoe lang u ze bewaart en welke beveiligingsmaatregelen gelden. Voor een kantoor van 3 tot 20 fee earners is dat doorgaans een overzichtelijk document met een handvol verwerkingen: cliëntdossiers, cliëntadministratie en facturatie, Wwft-cliëntonderzoek, personeelsadministratie, marketing en website. Houd het actueel bij elke nieuwe leverancier of nieuw proces.
Verwerkersovereenkomsten
Elke partij die in uw opdracht persoonsgegevens verwerkt, is verwerker: uw praktijkmanagementsysteem, documentopslag, e-maildienst, back-upleverancier, boekhoudsoftware, telefonie, en ook het externe ICT-bedrijf dat beheer doet. Met al die partijen hoort een verwerkersovereenkomst te bestaan waarin ten minste is geregeld: doel en aard van de verwerking, beveiligingsmaatregelen, gebruik van subverwerkers, locatie van verwerking, meldplicht bij incidenten richting u, medewerking bij verzoeken van betrokkenen, en wat er bij beëindiging met de data gebeurt. Zet dit in een leverancierslijst met de datum van de laatste versie, zodat u niet per incident hoeft te zoeken.
Grondslagen en bewaartermijnen
Voor dossierverwerking is de grondslag doorgaans de uitvoering van de overeenkomst met de cliënt en de wettelijke verplichtingen die op u rusten; voor marketingcommunicatie ligt dat anders. Bewaartermijnen zijn een klassiek zwak punt: veel kantoren bewaren feitelijk alles onbeperkt. Stel per categorie een termijn vast, houd rekening met wettelijke bewaarplichten die op u rusten — onder meer vanuit de Wwft-verplichtingen — en zorg dat er daadwerkelijk iets gebeurt als een termijn verstrijkt.
Rechten van betrokkenen
Inzage, rectificatie, verwijdering en bezwaar gelden ook bij u — met de belangrijke nuance dat uw geheimhoudingsplicht en de rechten van andere betrokkenen die verzoeken kunnen begrenzen. Leg vast wie zulke verzoeken behandelt en binnen welke termijn, zodat een verzoek niet ergens in een algemene mailbox blijft liggen.
Wat is een datalek?
Een datalek is een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging, of ongeoorloofde verstrekking van of toegang tot persoonsgegevens. Het gaat dus nadrukkelijk niet alleen om hacks. De meest voorkomende incidenten op een advocatenkantoor zijn banaal:
- Een e-mail met een processtuk naar het verkeerde adres of met de verkeerde bijlage
- Een cc in plaats van bcc bij een groepsmailing
- Verlies of diefstal van een laptop, telefoon of USB-stick
- Een gestolen wachtwoord waarmee iemand in een mailbox komt
- Een ransomware-incident waardoor gegevens ontoegankelijk worden
- Papieren dossierstukken die kwijtraken of verkeerd worden meegegeven
Ook een lek waarbij gegevens alleen ontoegankelijk raken — zonder dat iemand ze heeft ingezien — kan een datalek zijn.
De 72-uursmelding
Als een datalek een risico oplevert voor de rechten en vrijheden van betrokkenen, meldt de verwerkingsverantwoordelijke dit bij de Autoriteit Persoonsgegevens. De AVG hanteert daarvoor een termijn van 72 uur nadat u kennis heeft genomen van het lek. Is melding niet binnen die termijn mogelijk, dan wordt de vertraging gemotiveerd. Levert het lek waarschijnlijk een hoog risico op, dan worden ook de betrokkenen geïnformeerd, in duidelijke taal en zonder onnodige vertraging.
Die 72 uur klinkt ruim en is het niet. In de praktijk gaat de eerste dag op aan uitzoeken wát er precies is gebeurd en welke gegevens het betreft. Daarom is een vooraf vastgelegde procedure met een vast aanspreekpunt geen luxe. Sancties bij het niet naleven van de AVG kunnen aanzienlijk zijn; we noemen hier bewust geen bedragen omdat de hoogte volledig afhangt van de omstandigheden van het geval en de beoordeling van de toezichthouder.
Incidentprocedure in vijf stappen
- Melden en registreren (direct). Iedere medewerker meldt een vermoedelijk incident direct bij het vaste aanspreekpunt. Elk incident gaat in een intern datalekregister, ook als het uiteindelijk niet meldingsplichtig blijkt.
- Indammen (binnen uren). Toegang intrekken, wachtwoorden resetten, apparaat op afstand wissen, verzending terugroepen waar dat kan, systemen isoleren.
- Beoordelen (dag 1–2). Welke gegevens, hoeveel betrokkenen, welke categorieën, wie had toegang, wat is het risico? Betrek hierbij de leverancier als het incident bij een verwerker speelt.
- Melden (binnen 72 uur). Melding bij de Autoriteit Persoonsgegevens indien er een risico is; informeren van betrokkenen bij een waarschijnlijk hoog risico. Documenteer ook gemotiveerd wanneer u besluit níét te melden.
- Nazorg en verbetering. Analyseer de oorzaak, pas de maatregel aan die het incident had kunnen voorkomen, en informeer het kantoor — anoniem — zodat dezelfde fout niet herhaald wordt.
Preventie: waar de winst zit
De meeste datalekken op advocatenkantoren zijn menselijke fouten in e-mail en apparaatgebruik. De maatregelen die daar het meest opleveren:
- Toegangsbeheer op dossierniveau. Niet iedereen hoeft bij elk dossier te kunnen. Beperk toegang tot wie het nodig heeft en herzie rechten bij rolwijziging en uitdiensttreding.
- Tweefactorauthenticatie op e-mail, praktijksysteem en remote toegang. Dit is de goedkoopste maatregel met de grootste impact.
- Versleuteling van apparaten en van gegevens in opslag, zodat verlies van een laptop geen datalek met hoog risico hoeft te zijn.
- Vertraagd verzenden van e-mail (een korte uitstelmarge) en waarschuwingen bij externe geadresseerden. Voorkomt een aanzienlijk deel van de misverzendingen.
- Bewustwording. Een korte sessie per jaar met echte voorbeelden werkt beter dan een dik protocol dat niemand leest.
- Onveranderlijke logging en audit-trail, zodat u bij een incident kunt reconstrueren wie wat wanneer heeft ingezien. Zonder logging kunt u de omvang van een lek niet vaststellen — en moet u van het slechtste scenario uitgaan.
- Leveranciersselectie. Beoordeel bij elke nieuwe tool waar data staat, wie er toegang toe heeft en of er een deugdelijke verwerkersovereenkomst is. Zie hoe LegalTime hosting, versleuteling en audit-trail heeft ingericht als referentiekader voor de vragen die u aan elke leverancier zou moeten stellen.
Raakvlak met Wwft-processen
Cliëntonderzoek levert een aparte gegevensstroom op: identiteitsbewijzen, UBO-gegevens, PEP-screening, risicoclassificaties. Die gegevens vallen onder de AVG én onder een wettelijke bewaarplicht, en horen niet los in mailboxen of netwerkmappen rond te slingeren. Verwerk ze in een gestructureerd proces met toegangsbeperking en een vastgelegde bewaartermijn — zoals in Wwft-cliëntonderzoek en conflictcheck. Dat scheelt bij een incident enorm veel uitzoekwerk, omdat u precies weet welke gegevens waar staan.
Minimale set die op orde moet zijn
- Actueel verwerkingsregister
- Verwerkersovereenkomst met elke leverancier die persoonsgegevens verwerkt
- Vastgestelde bewaartermijnen per categorie, met opvolging
- Aangewezen aanspreekpunt voor privacy en datalekken
- Intern datalekregister, ook voor niet-gemelde incidenten
- Incidentprocedure die past binnen 72 uur
- Tweefactorauthenticatie, versleuteling en toegangsbeheer op dossierniveau
- Jaarlijkse bewustwordingssessie en periodieke evaluatie
Dit artikel is een praktische toelichting en geen juridisch advies over uw specifieke situatie; toets uw inrichting aan de actuele richtsnoeren van de Autoriteit Persoonsgegevens.
Veelgestelde vragen
Binnen welke termijn moet een datalek gemeld worden?
De AVG hanteert een termijn van 72 uur nadat de verwerkingsverantwoordelijke kennis heeft genomen van het datalek, voor melding bij de toezichthouder — in Nederland de Autoriteit Persoonsgegevens — tenzij het onwaarschijnlijk is dat het lek een risico oplevert voor betrokkenen.
Moeten betrokkenen altijd geïnformeerd worden?
Nee. Betrokkenen worden geïnformeerd wanneer het datalek waarschijnlijk een hoog risico oplevert voor hun rechten en vrijheden. Bij dossierinformatie van een advocatenkantoor is die drempel eerder bereikt dan bij minder gevoelige gegevens.
Heeft een advocatenkantoor een verwerkingsregister nodig?
In de praktijk vrijwel altijd. Advocatenkantoren verwerken structureel gevoelige gegevens, waardoor de uitzonderingen voor kleine organisaties doorgaans niet opgaan. Beschouw het register als standaard.
Is een leverancier van kantoorsoftware een verwerker?
Doorgaans wel: die verwerkt persoonsgegevens in uw opdracht. Leg dat vast in een verwerkersovereenkomst met afspraken over doel, beveiliging, subverwerkers, locatie van verwerking, incidentmelding en teruggave of verwijdering bij beëindiging.
Wat is het verschil tussen AVG-plichten en het verschoningsrecht?
De AVG regelt de bescherming van persoonsgegevens in het algemeen; het verschoningsrecht en de geheimhoudingsplicht beschermen de vertrouwelijkheid van de advocaat-cliëntrelatie. Ze overlappen, maar zijn niet hetzelfde en stellen deels verschillende eisen.
Lees ook
Zelf ervaren hoe LegalTime uw kantoor helpt?